Ben Kimim? Emre Çamalan

Transkript

1

2 Ben Kimim? Emre Çamalan Bilgisayar Mühendisi Php Developer Team Üyesi Centos / FreeBSD / PCBSD / CrunchBang destekçisi Sistem Sorumlusu Ar/Ge Mühendisi

3 Hikayemiz

4 Hikayemiz

5 En Güvenli Sistem

6 Linux Hakkında Ne Biliyoruz?

7 Minimum Sistem Minimum Sistem Maximum Güvenlik Linux'unuzda yüklü her programı ya da servisi kullanıyor musunuz? Emin değilseniz kontrol edin; yum list installed yum list PkgName yum remove PkgName Dpkg list Dpkg info PkgName apt get remove PkgName

8 Minimum Sistem Minimum Sistem Maximum Güvenlik Linux'unuzda yüklü her programı ya da servisi kullanıyor musunuz? Inetd Emin değilseniz kontrol edin; xinetd yum list installed ypserv yum list PkgNametftp-server telnet-server yum remove PkgName rsh-server Dpkg list Dpkg info PkgName apt get remove PkgName

9 Önerilmeyen Servisler Bu Servisleri Kullanmalımıyım? inetd : Internet Daemon xinetd : Extended Inetd ypserv : NIS sunucusu tftp : Trivial File Transfer Protocol telnet : Internet Protocol rsh : Remote Shell

10 Önerilmeyen Servisler Bu Servisleri Kullanmalımıyım? inetd : Internet Daemon xinetd : Extended Inetd ypserv : NIS sunucusu Inetd tftp : Trivial File Transfer Protocol xinetd ypserv telnet : Internet Protocol tftp-server rsh : Remote Shell telnet-server rsh-server

11 Güvenliği Yüksek Servisler İletişimde Hangi Servisleri Kullanmalıyım? OpenSSH SFTP FTPS

12 Heartbleed Nasıl Çalışıyor?

13 Heartbleed Nasıl Çalışıyor? OpenSSL 1.0.1g ve daha yeni sürümlere güncelleyelim

14 Shellshock (Bashdoor) env x='() { :;}; echo vulnerable' bash c "echo this is a test"

15 Shellshock (Bashdoor) env x='() { :;}; echo vulnerable' bash c "echo this is a test" Redhat / Suse vb.. hemen güncelleme yayınladı Mandrake /Slackware 1 gün sonra yayınladı Ubuntu /Debian vb.. LTS için yayınladı

16 Kernel / Software Update Linux'unuz her zaman güncel kalmalı. Güvenlik güncellemelerini sisteminiz otomatik yüklemeli Redhat ve türevleri için güvenlik güncellemeleri maillerini alıyor şekilde ayarlayın Debian ve türevleri için apticron'u aktif edebilirsiniz. # vim /etc/yum/yum-updatesd.conf emit_via = _to = ecamalan@php.net _from = system@system.com # apt-get update # apt-get install apticron # vi /etc/apticron/apticron.conf ="ecamalan@php.net"

17 Kernel Güvenliği SELinux (Security Enhanced Linux) SELinux / AppArmor / Grsecurity MAC Mandatory Access Control DAC Discretionary Access Control # sestatus SELinux status: enabled SELinuxfs mount: /sys/fs/selinux SELinux root directory: /etc/selinux Loaded policy name: targeted Current mode: enforcing Mode from config file: enforcing Policy MLS status: enabled Policy deny_unknown status: allowed Max kernel policy version: 28 # semanage

18 Kernel Güvenliği SELinux AppArmor Grsecurity SELinux AppArmor Grsecurity Güçlü erişim kontrolü Kolay anlaşılır araçlar ve policy Kullanımı Kolay Uzmanlar için Yeni / Uzmanlar için Yeni Kullanıcılar için RedHat vb.., Debian vb.. Suse vb.. Her Linux'a uygun

19 Kullanıcılar / Şifreler Aynı Şifrenin Tekrar Kullanılmasını Engelleyelim pam_unix / pam_unix2 modüllerini yüklemelisiniz. Eski şifrelerimiz /etc/security/opasswd dosyasında tutulacaktır. Ayar dosyalarımız ; Debian : /etc/pam.d/common-password Redhat : /etc/pam.d/system-auth Suse : /etc/pam.d/common-auth password sufficient pam_unix.so use_authtok md5 shadow remember=13 password sufficient pam_unix2.so use_authtok md5 shadow remember=13 -rw root root system_u:object_r:shadow_t:s0 /etc/security/opasswd

20 Kullanıcılar / Şifreler Hatalı Deneme Yapan Kullanıcıyı da Engelleyin! Faillock yardımızına koşacaktır. Kullanıcı bazlı engelleme yapabilirsiniz. İstediğiniz sayıda hata yapan kullanıcıyı engelleyebilirsiniz. İstediğiniz süre hesabı kapalı kalabilir.

21 Kullanıcılar / Şifreler Şifresiz hesaplar var mı kontrol edilmeli! Shadow dosyasından kontrol edebilirsiniz Yada : awk -F: '($2 == "") {print}' /etc/shadow

22 Kullanıcılar / Şifreler Root yetkisine sahip tek account olmalı! UID = 0 olan yani root yetkili tek hesap olmalı awk -F: '($3 == "0") {print}' /etc/passwd Sadece şu olmalı ; root:x:0:0:root:/root:/bin/bash

23 Kullanıcılar / Şifreler Su yerine Sudo kullanılmalı! Root olarak işlem yaparsanız şifre sorulmaz. Sudo ile 1 kez şifre girip 15dk şifresiz işlem yapabilirsiniz. Sudoers dosyasındaki kurallar titizlikle hazırlanmalı. moderator ALL=/sbin/halt, /bin/kill, /bin/cp, /bin/mv user ALL= NOPASSWD: /sbin/halt ecamalan dev0=/usr/sbin/*

24 Portlar Açık portları kapatmalısınız! Dinlenilen portlar bizim için en önemli noktalardır. Tespit etmek ve kullanan uygulamayı görmek için; netstat -tulpn

25 Portlar Açık portları kapatmalısınız! Dinlenilen portlar bizim için en önemli noktalardır. Tespit etmek ve kullanan uygulamayı görmek için; netstat -tulpn Açık ve istenmeyen portları Iptables ile kapatabilirsiniz!

26 Iptables / TCPWrappers Linux Kernel'i sisteminizi Firewall gibi kullanmanızı destekler Iptables kullanıcı düzeyinde bir uygulamadır. Dışardan gelen trafiği filtreleyerek sadece istenen trafiğin içeri girmesini sağlar. TCPWrapper host based ACL sistemidir, hangi servislere hangi istemci erişebilir bunun kurallarını kontrol eder.

27 Kernel Conf. /etc/sysctl.conf dosyasını titizlikle düzenlemeliyiz! Yapacağımız ayarla IP spoof'u engelleyebilir. Broadcastlere isteklerine ignore dönebilir. Spoof yapılmış paketleride loglayabiliriz.

28 Kernel Conf. /etc/sysctl.conf dosyasını titizlikle düzenlemeliyiz! Yapacağımız ayarla IP spoof'u engelleyebilir. # execshield'i aktif edelim Broadcastlere isteklerine ignore dönebilir. kernel.exec shield=1 Spoof yapılmış paketleride loglayabiliriz. kernel.randomize_va_space=1 # IP spoofing korumasını etkinleştirelim net.ipv4.conf.all.rp_filter=1 # IP source routing'i kapatalım net.ipv4.conf.all.accept_source_route=0 #Broadcast isteklerine ignore dönelim net.ipv4.icmp_echo_ignore_broadcasts=1 net.ipv4.icmp_ignore_bogus_error_messages=1 # Loglama yapalım net.ipv4.conf.all.log_martians = 1

29 Logwatch / Logcheck Logwatch sizin için logların özetini çıkartır! iptables firewall Begin Logged 87 packets on interface eth0 From 58.y.xxx.ww 1 packet to tcp(8080) From packet to tcp(22) From nnn.yyy 2 packets to tcp(45633) From 222.xxx.ttt.zz 5 packets to tcp(8000,8080,8800) iptables firewall End Sudo (secure log) Begin ecamalan => root /bin/su 6 Time(s). Sudo (secure log) End

30 Auditd Fazlasıyla log bilgisi almak için audit ayarlanmalı! Sistem başlatma ve kapatma olayları Tarih ve olayın zamanı. Kullanıcı bazlı işlem logu Olay (düzenleme, erişim, güncelleme dosyasını ve komutları, silme yazma) Başarı ya da olayın başarısızlıkla sonuçlanması. Kayıtlar tarih ve saati değiştirme olayları. Sistemin ağ ayarlarını değiştirmek için değişiklik yapılmış kim olduğunu bulun. Kullanıcı / grup bilgilerinin değişimlerinin tutulması. Bir dosyaya vb değişiklik yapan görün

31 Auditd Fazlasıyla log bilgisi almak için audit ayarlanmalı! Sistem başlatma ve kapatma olayları Tarih ve olayın zamanı. Kullanıcı bazlı işlem logu auditctl w /etc/shadow k shadow file p rwxa Olay (düzenleme, erişim, güncelleme dosyasını ve komutları, silme yazma) auditctl a exit,never S mount Başarı ya da olayın başarısızlıkla sonuçlanması. Kayıtlar tarih ve saati değiştirme olayları. auditctl a entry,always S all F pid=1005 Sistemin ağ ayarlarını değiştirmek için değişiklik yapılmış kim olduğunu bulun. Kullanıcı / grup bilgilerinin değişimlerinin tutulması. Bir dosyaya vb değişiklik yapan görün

32 Saldırı Tespit Sistemi Zararlı Yazılım, Ddos Attack, Port Scanner vb.. AIDE (Advanced Intrusion Detection Environment) Bilgisayarı izleme ve analiz etme konusunda başarılı bir proje. Snort Saldırı tespit yazılımı olarak paket inceleme, loglama ve anlık trafik analiziyle daha etkili ve geniş kullanım alanına sahip bir yazılım.

33 Daha fazlası... Fiziki güvenlik Grub şifreleme Disk partition Disk şifreleme Dosya şifreleme Şifreli ler Düzenli yedekleme Buffer overflow koruması Güvenli ve Tek Ağ Açılışta otomatik başlayan servislerin kapatılması X window'un silinmesi Disk kullanım kotası kullanılması Istenmeyen SUID ve SGID binarylerinin kapatılması Sticky Bit + Writable dosyaların bulunması Sahipsiz dosyaların bulunması Kerberos kullanımı

34 Linux ve Güvenlik Teşekkürler